2021年，买卖杭州一家网络公司的数据技术总监李某，因为从上游渠道购买了近200万条公民个人信息，犯法再转手卖给电话销售团队，买卖被法院判处有期徒刑三年，数据缓刑四年，犯法并处罚金十万元。买卖判决书里写得清清楚楚：违反国家有关规定，数据向他人出售公民个人信息，犯法情节特别严重。买卖

买卖数据犯法吗？数据答案不是简单的“是”或“否”。得看数据是犯法什么类型，怎么来的买卖，又是数据怎么卖的。

如果你卖的犯法是自己公司合法收集的脱敏数据，比如统计层面的用户消费趋势，不涉及具体个人身份，那在法律上基本不踩红线。但一旦数据能直接或间接识别到某个具体的人——手机号、身份证号、家庭住址、行踪轨迹——性质就变了。这类信息属于《个人信息保护法》和《刑法》第二百五十三条之一共同保护的范畴，买卖它们，轻则民事赔偿，重则刑事坐牢。

我认识一个做金融风控的朋友，他们公司偶尔会从第三方买一些“反欺诈标签数据”。他跟我说，合同里写得天花乱坠，说什么“已获得用户授权”，但实际上，那些数据的来源链条根本经不起查。他心知肚明，一旦出事，公司可以甩锅给供应商，但作为具体经办人，他可能也要担责。这就是现实——很多买卖行为都藏在灰色地带，表面合法，内里全是雷。

有意思的是，法律对“买”和“卖”的处罚力度不一样。卖，基本是严厉打击，因为它是信息泄露的源头。买呢？如果只是购买后自己用，没有再次传播，情节较轻的可能只算民事侵权；但如果买的量特别大，或者用于违法活动，比如精准诈骗，那同样构成犯罪。2022年江苏有个案子，一个人买了3万条学生家长信息用于推销培训课程，最后被判侵犯公民个人信息罪，罚金加刑期，得不偿失。

还有个容易被忽略的点——你卖的不是“数据”，而是“人的隐私”。很多人觉得，数据嘛，复制一份又不损失什么，卖了还能赚钱。但每一条记录背后，都是一个活生生的人。你卖出去的手机号，可能让某个老人接到冒充公检法的诈骗电话，一辈子的积蓄没了。法律之所以严惩这类行为，不是因为数据本身多值钱，而是因为它拆解了社会信任的底线。

当然，也有完全合法的数据交易。比如工信部旗下的数据交易所，要求数据来源合规、经过匿名化处理、有明确的授权链。这种交易受保护，但门槛极高，审核极严，大多数想走捷径的人根本不会碰。

说到底，买卖数据犯不犯法，关键看三件事：数据是否属于个人信息、有没有获得真实有效的授权、交易链条是否透明可追溯。这三条里任何一条有瑕疵，你就是在法律边缘试探。别抱侥幸心理，那些被抓的，没有一个觉得自己会出事。